Bromodus er ikke VPN-gjennomstrømming: hva hver av dem endrer
Bromodus endrer ruterens videresendingsrolle; gjennomstrømming slipper bare en klient-VPN gjennom den. Ingen av dem oppretter en tunnel, så de kan ikke byttes om.
Bromodus og VPN-gjennomstrømming nevnes i samme feilsøkingstråd fordi begge tilbys som en løsning på en VPN som ikke kobler til. De beskriver forskjellige rutefunksjoner, og ingen av dem lager en VPN-tunnel alene. Broing endrer hvordan en enhet kobles til nettverkssegmenter eller hvem som gjør rutingen; gjennomstrømming avgjør om en klients VPN-trafikk kan krysse en gateway. Velger du feil, blir et lite problem til en hel ettermiddag med ny adressering.
To etiketter, to ulike funksjoner
Testen er enkel: prøver du å endre nettverkets form, eller å la trafikk som allerede finnes passere gjennom det? Det er ulike forespørsler med ulike konsekvenser.
Sammenligningen i én tabell:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Bare de to siste lager en tunnel på ruteren. Broing og gjennomstrømming lar begge endepunktet ligge et annet sted, og derfor kan ingen av dem fikse et problem som skyldes en manglende klient eller en server som ikke er tilgjengelig. Forskjellen er lett å miste fordi innstillingene ligger nær hverandre i samme grensesnitt. Skriv ned hvilket endepunkt som eier tunnelen før du åpner den siden.
En avkrysningsboks for gjennomstrømming er heller ikke en fullstendig beskrivelse av protokollstøtten. Moderne IPsec NAT-traversering bruker standardisert UDP-innkapsling, mens eldre hjelpefunksjoner har implementasjonsspesifikk oppførsel.
En markedsføringsetikett som sier VPN-støtte, forteller deg ikke hvilken av disse fire rollene den betyr.
Hva bromodus endrer på enheten din
På et modem eller en ruter flytter broalternativet vanligvis ruting- og NAT-ansvaret til en annen gateway lenger ned. På en programvareenhet kan det bety at utvalgte lokale grensesnitt slås sammen til ett kringkastingsdomene i stedet. Det nøyaktige omfanget avhenger av produktet, så les dokumentasjonen for modellen og ikke for ordet. Begge tolkningene endrer adressetildeling, brannmurgrenser og hvordan du når administrasjonen.
Det siste er grunnen til at broing er en dårlig første respons på en VPN-feil. Du kan miste administrasjonsveien mens det opprinnelige problemet fortsatt er uløst.
Ta en sikkerhetskopi av konfigurasjonen før du endrer nettverksrollen, fordi adresseringen kan flytte seg med den.
Velg rollen før innstillingen
For å sende husholdningstrafikk gjennom en ekstern utgang trenger du en kompatibel ruter-VPN-klient, ikke en bro. For å koble hjem igjen fra et annet sted trenger du serverrollen pluss en oppstrømsvei som kan nå den. De to kravene har nesten ingenting til felles utover ordet VPN. Bestem hvilken du bygger før du ser på en meny.
En enhet kan støtte begge rollene og likevel ikke støtte den du trenger i det tempoet du forventer.
Rollen er et designvalg; innstillingen er en konsekvens av det.
Hvis bare én protokoll feiler
Når én protokoll feiler bak en ruter som ellers fungerer, undersøk den protokollens transport og NAT-vei først. Å endre hele gateway-modus for å fikse én klient er som å legge om ledningene i huset fordi en lampe er ødelagt. Sjekk om trafikken er UDP-innkapslet, om ruterens hjelpefunksjon gjelder for den protokollen, og om feilen er symmetrisk. Bestem deg deretter for om en rolledendring faktisk er berettiget.
RFC 3948 beskriver UDP-innkapslingen som gjør at IPsec overlever NAT, og det er standarden du bør sjekke før du stoler på en avkrysningsboks for gjennomstrømming.
Noter hva du endret og hvorfor, fordi den neste personen vil finne enheten i bromodus og anta at det var med vilje. Det riktige resultatet er et nettverk med den formen du valgte, ikke en du arvet fra en feilsøkingsøkt.